CVE-2026-8457: Kritisk loginfejl i WooCommerce Social Login
Kritisk fejl i WooCommerce Social Login (CVE-2026-8457) lader angribere logge ind som administrator uden adgangskode. Opdatér pluginet nu.
Hvad er det?
CVE-2026-8457 er en fejl i WordPress-udvidelsen WooCommerce – Social Login, som lader kunder logge ind på en webshop med deres Apple-konto i stedet for at oprette en adgangskode. Fejlen ligger i, hvordan pluginet håndterer login med Apple. Det læser blot indholdet af den kode (et id_token), som Apple normalt sender som bevis på identitet, uden at kontrollere, at koden faktisk er underskrevet og udstedt af Apple. Samtidig ligger den sikkerhedsnøgle, der skal bruges for at starte login-processen, frit tilgængelig på login-siden for alle, også besøgende uden en konto. Kombinationen gør, at en angriber selv kan opdigte en id_token med en eksisterende brugers e-mailadresse og blive logget ind som den bruger, inklusive administratorer.
Hvem rammer det?
Det rammer alle WordPress-baserede webshops, der kører WooCommerce med udvidelsen Social Login i version 2.8.7 eller ældre, og som har aktiveret login med Apple. Det gælder typisk danske webshops, der ønsker at gøre det nemt for kunder at logge ind uden adgangskode. Sårbarheden kræver ikke, at man har konfigureret login med Apple aktivt for kunder, hvis funktionen blot er tilgængelig i pluginet, kan den udnyttes.
Hvad kan ske?
En angriber kan uden login eller adgangskode overtage en konto på webshoppen, herunder en administratorkonto. Med adgang som administrator kan angriberen oprette nye admin-brugere, installere skadelige udvidelser, ændre betalingsflowet så kortoplysninger stjæles ved kassen, eller hente kundedata ud af butikken. Det kan medføre driftsstop, tab af kundetillid og krav om anmeldelse til Datatilsynet, hvis persondata er blevet tilgået.
Hvor alvorligt er det?
CVSS-score er 9,8 af 10, hvilket er den højeste kategori. Angrebet kræver ikke login, ikke en handling fra brugeren og kan udføres over internettet med lav teknisk kompleksitet. Der er ikke offentligt kendt bevis for aktiv udnyttelse på offentliggørelsesdatoen, men fordi angrebet er simpelt at udføre og retter sig mod administratorkonti, bør det behandles som et af de mest kritiske fund, man kan få på en webshop.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis I allerede er ramt.
- Opdatér WooCommerce – Social Login til en version nyere end 2.8.7 med det samme. Det er den handling, der reelt fjerner sårbarheden.
- Kan opdatering ikke ske straks, deaktivér login med Apple i pluginets indstillinger eller deaktivér pluginet helt, indtil det er opdateret.
- Gennemgå listen af administratorer og brugere med rettigheder på webshoppen for konti, I ikke selv har oprettet.
- Se login-logs efter mistænkelig aktivitet omkring Apple-login, især sessioner der er oprettet uden en normal login-proces.
- Skift adgangskoder for alle administratorkonti og gennemtving log ud af alle aktive sessioner efter opdateringen.
- Er der tegn på, at en konto allerede er misbrugt, eller er I i tvivl om omfanget, bør I hente ekstern hjælp til at gennemgå systemet.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer WooCommerce – Social Login med det samme, uanset om I aktivt bruger Apple-login, fordi funktionen blot skal være tilgængelig for at kunne udnyttes. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, da angrebet ikke kræver login eller brugerhandling. Er opdatering ikke muligt inden for et par timer, bør I midlertidigt deaktivere pluginet, indtil det er sket.
Tidslinje
Konkrete eksempler
Overtagelse af webshop via forfalsket Apple-login
En dansk webshop har aktiveret login med Apple for at gøre det nemt for kunder at handle uden at oprette en adgangskode. En angriber finder e-mailadressen på webshoppens administrator, opdigter en forfalsket id_token med den adresse og bliver logget ind som administrator uden at kende nogen adgangskode. Angriberen installerer derefter et skadeligt script på betalingssiden, der stjæler kunders kortoplysninger ved kassen, uden at nogen i virksomheden bemærker det, før kunder begynder at klage over misbrug af deres kort.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres webshop kører WordPress med WooCommerce og udvidelsen Social Login i version 2.8.7 eller ældre. Det gælder, uanset om I selv bruger Apple-login aktivt.
Hvordan tjekker vi, hvilken version vi har?
Gå ind i WordPress-administrationen under Plugins og find WooCommerce – Social Login. Versionsnummeret står under pluginets navn. Er det 2.8.7 eller lavere, skal det opdateres.
Kan vi vente til weekenden med at opdatere?
Nej. Sårbarheden kræver ikke login og kan udnyttes automatisk af scripts, der scanner efter sårbare websites. Opdatering eller deaktivering af pluginet bør ske samme dag, sårbarheden opdages.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I finder konkrete tegn på, at en konto er blevet misbrugt og persondata er blevet tilgået. Uden tegn på misbrug er der ikke i sig selv anmeldelsespligt, men vi anbefaler at logge og opbevare beviser, hvis I senere skal vurdere det.
Hvad hvis vi ikke bruger Apple-login på vores webshop?
Login-funktionen er stadig aktiv i pluginets kode, selv hvis den ikke fremgår synligt på jeres login-side. Vi anbefaler derfor at opdatere eller deaktivere pluginet uanset.
Kan vi selv fjerne en uautoriseret administratorkonto?
Ja, gå til Brugere i WordPress og fjern konti, I ikke selv har oprettet. Skift derefter adgangskoder for alle tilbageværende administratorer og gennemtving log ud af alle sessioner.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The WooCommerce – Social Login plugin for WordPress is vulnerable to Authentication Bypass in all versions up to and including 2.8.7. This is due to the plugin’s Apple login handler accepting the Apple id_token and decoding only its base64 payload without verifying the JWT signature against Apple’s public keys or validating the issuer, audience, or expiry claims, combined with the security nonce required to invoke the login flow being publicly exposed to unauthenticated users via a localized JavaScript object on the login page. This makes it possible for unauthenticated attackers to log in as any existing WordPress user — including administrators — by supplying a forged id_token whose payload contains the target user’s email address, as that email is used without any role exclusion to resolve a WordPress account and immediately issue an authenticated session for it.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.